Za prosto sistemsko upravljanje s vsebinami , napisanem v programskem jeziku Python ob uporabi aplikacijskega strežnika Zope, popravki za odpravo (CVE-identifikatorji še niso dodeljeni). Te težave vplivajo na vse trenutno predstavljene različice Plone, vključno z različico, ki je bila oblikovana pred nekaj dnevi . Težave nameravamo odpraviti v prihodnjih različicah Plone 4.3.20, 5.1.7 in 5.2.2, do objave katerih je priporočljivo uporabiti .
Ugotovljene ranljivosti (podrobnosti še niso razkrite):
- Povečanje privilegijev preko manipulacij z Rest API (to se pojavi le, če je omogočen plone.restapi);
- Vstavljanje SQL-kode zaradi pomanjkljivega izvajanja escape SQL struktur v DTML in objektih za povezavo z DBMS (težava je specifična za in se pojavi v drugih aplikacijah zgrajenih na njegovi podlagi);
- Možnost prepisovanja vsebine preko manipulacij z metodo PUT brez pravic za pisanje;
- Odprt preusmeritveni naslov v obrazcu za prijavo;
- Možnost posredovanja zlonamernih zunanjih povezav mimo preverjanja isURLInPortal;
- Neuspeh pri preverjanju zanesljivosti gesla v nekaterih primerih;
- Medsebojno spletno skriptiranje (XSS) preko vstavljanja kode v polje z glavo.
Izvor: opennet.ru
